A Defused Cyber relatou em 27 de outubro de 2026 tentativas exploratórias contra suas iscas de Oracle E-Business Suite (EBS) envolvendo a falha CVE-2026-101767. A Oracle havia publicado inicialmente seu Critical Patch Update (CPU) de outubro em 20 de outubro; a Horizon3.ai diz que a atualização corrigiu a vulnerabilidade. O relato descreve sondagem em iscas, sem informar invasão bem-sucedida de um ambiente de cliente.
A publicação original da Defused Cyber está em inglês:
Quais versões do Oracle EBS são afetadas?
A Horizon3.ai identifica como afetadas as versões 12.2.3 a 12.2.15, inclusive, do Oracle EBS. A falha está no Oracle Application Object Library, Core, e envolve o servlet Thin Client Framework (TCF) no caminho /OA_HTML/AppsTCFServer. A análise técnica da Horizon3.ai detalha esse escopo.
A vulnerabilidade é uma injeção de SQL sem autenticação. Para explorá-la, é necessário acesso de rede ao servlet por HTTP ou HTTPS, mas não são necessárias credenciais nem interação do usuário. Por isso, um servidor web EBS exposto à internet pode ser acessível diretamente; sistemas internos também podem estar ao alcance de alguém que já consiga acessar esse segmento da rede.
A Horizon3.ai atribui à falha nota 9,8, Crítica, no CVSS 3.1, escala que classifica a gravidade de vulnerabilidades. A nota descreve a gravidade potencial, não um incidente confirmado em uma instalação específica.
O que a vulnerabilidade pode permitir
Segundo a Horizon3.ai, a falha pode permitir executar consultas SQL como o usuário de banco de dados APPS e, em seguida, comandos do sistema operacional como a conta de aplicação do EBS. O alcance dependeria dos dados acessíveis à conta e das permissões dessa conta no sistema. Entre os exemplos de dados potencialmente expostos estão registros financeiros, de folha de pagamento, de recursos humanos e de compras.
O que os administradores devem priorizar
A prioridade é aplicar o patch aplicável do CPU de outubro. A Oracle informa que os patches de CPU são fornecidos para versões cobertas pelo Premier Support ou Extended Support. A empresa também diz que versões anteriores podem estar afetadas e recomenda a atualização para versões com suporte.
Enquanto a correção não é aplicada, a Horizon3.ai recomenda remover /OA_HTML/AppsTCFServer da lista de permissões do firewall de URL do EBS, restringir o acesso à camada web a redes confiáveis e monitorar o servidor de aplicação e o banco de dados. Essas medidas reduzem a exposição, mas não substituem o patch. A Oracle alerta que soluções temporárias podem interromper funções do aplicativo e recomenda testá-las fora do ambiente de produção.
Sinais técnicos para monitorar
A Horizon3.ai aponta como sinais defensivos solicitações POST não autenticadas ao servlet seguidas de atividade no banco de dados; reconhecimento de SQL após solicitações web não autenticadas; arquivos inesperados em $APPLPTMP; e a conta oracle iniciando /bin/sh por meio do Concurrent Manager. Esses sinais orientam a monitoração de uma instalação EBS; por si só, não identificam um incidente em uma organização específica.
